Les tests d’intrusion détectent les failles de sécurité avant les pirates et sont essentiels pour protéger les organisations contre les cybermenaces.
Vous pouvez créer votre propre programme de tests d’intrusion ou faire appel à un prestataire externe. Les services de tests d’intrusion sont devenus courants, et de nombreuses entreprises de sécurité en proposent. Mais ils peuvent être coûteux et doivent être réalisés régulièrement. Si vous disposez des compétences nécessaires en interne, envisagez donc de créer votre propre programme de tests d’intrusion. Vous bénéficierez d’un meilleur contrôle de ce processus essentiel de gestion des vulnérabilités et des risques, ainsi que d’une équipe de sécurité mieux informée et mieux préparée.
Une fois que vous avez décidé de constituer votre propre équipe de tests d’intrusion, la première étape consiste à créer un plan qui évalue vos actifs les plus critiques afin de pouvoir les sécuriser.
Consultez les meilleurs outils de tests d’intrusion et les meilleurs outils open source de tests d’intrusion.
Comment fonctionne un programme de tests d’intrusion ?
Les tests d’intrusion se distinguent de l’analyse des vulnérabilités par le recours à des testeurs humains qui recherchent les vulnérabilités comme le feraient des pirates.
Lors des tests d’intrusion, des experts en sécurité, également appelés hackers éthiques, hackers « white hat » ou « red teams », simulent des attaques réelles contre un système. Ces simulations sont conçues pour permettre aux testeurs d’identifier les vulnérabilités, les erreurs ou les faiblesses de l’infrastructure réseau avant qu’un attaquant ne puisse les exploiter. Cette approche, connue sous le nom de sécurité offensive, permet aux organisations de garder une longueur d’avance sur les cybercriminels.
Un programme de tests d’intrusion va au-delà des tests individuels et définit un cadre que l’organisation doit suivre. Il précise quels tests doivent être exécutés, quand, pourquoi et où. Les programmes de tests d’intrusion doivent être continus, détaillés, planifiés et révisés si nécessaire.
Le programme doit définir une série de tests d’intrusion destinés à identifier et corriger les vulnérabilités d’un système. Les responsables de la sécurité sauront combien de tests effectuer, ainsi que où et quand les réaliser, car le programme de tests d’intrusion aura été défini au préalable. Même si une organisation externalise tous ses tests d’intrusion, le programme fournira une feuille de route claire lors de ses échanges avec un prestataire, un programme de chasse aux bugs ou des hackers proposant des tests d’intrusion en tant que service.
À lire aussi : Tests d’intrusion ou tests de vulnérabilité : une différence importante
10 étapes pour mettre en place un programme de tests d’intrusion
Dans les tests d’intrusion, la préparation est essentielle. Demander à des prestataires d’effectuer des tests aléatoires sur un système ne fournira pas les informations nécessaires pour évaluer et corriger les failles, ni pour améliorer les performances et la sécurité.
Il est essentiel de connaître les tenants et les aboutissants des tests d’intrusion, ainsi que les objectifs à atteindre. Concevoir un programme de tests d’intrusion peut sembler une tâche insurmontable. Voici 10 étapes simples pour vous guider tout au long du processus.
1. Sécuriser le budget et les ressources humaines
Bien que les tests d’intrusion soient rentables et présentent des avantages importants, les organisations doivent d’abord obtenir le budget nécessaire et s’assurer de disposer des ressources humaines requises pour les réaliser. Comme les tests doivent se poursuivre sur une longue période, il s’agit de la première étape à suivre. Les organisations doivent s’assurer de disposer de toutes les ressources nécessaires pour mener le programme à bien.
2. Constituer une équipe pour le programme de tests d’intrusion
La première chose qu’une organisation doit faire, avant même de commencer à élaborer le programme, est de trouver la bonne équipe et les bons talents. Définissez les rôles et les responsabilités, et assurez-vous que les membres de l’équipe possèdent toutes les compétences et certifications. L’équipe devra également collaborer avec les autres services et la direction pour élaborer le programme.
Lorsque vous constituez votre équipe et réfléchissez à vos objectifs, pensez aux outils dont vous aurez besoin pour les cibles de vos tests d’intrusion, et trouvez ou formez le personnel capable d’effectuer ces tests. Réfléchissez aux vecteurs d’attaque possibles et aux actifs importants à protéger, comme Active Directory, une base de données applicative critique ou un dépôt de code, puis déterminez les tests à réaliser pour évaluer leur sécurité.
À lire aussi :
- Red Team, Blue Team ou Purple Team : les différences expliquées
- Tester et évaluer les systèmes SIEM : analyse de Rapid7 InsightIDR
3. Cartographier la surface numérique et établir un inventaire des actifs
L’équipe chargée des tests d’intrusion doit cartographier de manière exhaustive l’ensemble de l’infrastructure numérique, les réseaux, les appareils de l’Internet des objets (IoT), les ressources en périphérie et dans le cloud. La cartographie doit également inclure un inventaire des données et des actifs contenant toutes les informations pertinentes sur le cycle des données, de leur saisie, leur génération et leur collecte jusqu’à leur distribution, leur vente et leur suppression.
Une vision claire de l’ensemble du système permet d’identifier rapidement l’emplacement de chaque composant et offre une vue d’ensemble de ce qui doit être protégé. Notez les projets à venir et intégrez-les à la cartographie et à l’inventaire.
4. Définir les objectifs métier
Comme tout autre programme opérationnel, les tests d’intrusion doivent être alignés sur la mission, les objectifs et les cibles de l’entreprise. Concentrez-vous sur les actifs essentiels aux opérations, comme une base de données clients ou une application critique. Les objectifs métier peuvent évoluer avec le temps et nécessiter une révision. L’équipe doit donc revenir sur ce point à mesure que les tests d’intrusion sont effectués.
5. Définir les priorités des actifs
Les objectifs de l’entreprise peuvent être d’augmenter les ventes, de s’adapter au ralentissement économique, de réagir aux perturbations ou d’éviter l’attrition des clients. Quels que soient les objectifs de l’entreprise, la sécurité des actifs qui contribuent à leur réalisation doit être garantie et testée.
Identifiez la priorité des actifs à l’aide de l’inventaire des données et de la cartographie de la surface numérique. Si des projets futurs en cours de développement sont critiques, veillez à les inclure.
Les tests d’intrusion peuvent être réalisés par force brute, selon une approche en boîte noire simulant une attaque au cours de laquelle les pirates ne connaissent rien de vos systèmes, ou selon une approche en boîte blanche, dans laquelle ils connaissent l’architecture de votre système. Un mélange des deux est appelé approche en boîte grise.
Une simulation d’attaque par force brute consisterait à sonder votre réseau, vos applications web et vos utilisateurs à la recherche de faiblesses, tandis qu’une approche en boîte blanche pourrait recourir à une analyse sophistiquée du code pour rechercher les faiblesses d’une application.
6. Définir les priorités par niveau
Votre entreprise effectuera plusieurs tests périodiques, d’une durée de plusieurs jours ou plus. Maintenant que vous savez clairement ce qui doit être sécurisé, établissez les priorités des tests à effectuer en premier, puis de ceux qui suivront.
De plus, les tests peuvent être coûteux. Envisagez donc d’échelonner les tests de différents systèmes en fonction des priorités. Les priorités comprennent généralement les tests qui vérifient :
- L’exploitation des vulnérabilités
- L’exécution de code
- Les mouvements latéraux
- L’exfiltration de données
- Les vulnérabilités des applications
- La validation des entrées
- L’authentification
- L’application des autorisations
- La confiance accordée aux fournisseurs et la sécurité de la chaîne d’approvisionnement
7. Définir le type et le nombre de tests, puis les planifier
À mesure qu’une entreprise se développe dans le monde numérique, ses données, ses systèmes, ses réseaux et ses actifs numériques évoluent. Les tests d’intrusion ne peuvent fournir qu’une vision de l’infrastructure informatique d’une entreprise à un instant donné.
Toutefois, lors de la conception d’un programme de tests d’intrusion, les entreprises peuvent planifier des tests annuels, trimestriels ou mensuels afin de protéger leurs systèmes au fil du temps, à mesure qu’ils évoluent. Il est également important de comprendre le fonctionnement des tests d’intrusion, notamment leurs phases et leurs types, pour savoir lesquels exécuter, tout en se concentrant toujours sur les priorités identifiées pour les actifs.
À lire aussi : Les phases et étapes des tests d’intrusion expliquées
8. Mettre en place des canaux de communication et sensibiliser les équipes
Il est essentiel de mettre en place des canaux de communication clairs. Les tests d’intrusion ne doivent pas être cloisonnés ni limités aux équipes informatiques et de sécurité. Les dirigeants, les ingénieurs data, les développeurs, les créateurs de contenu, les équipes marketing et commerciales, ainsi que les équipes de production et de distribution doivent tous être informés du programme.
Les tests d’intrusion consistent à identifier les erreurs, les mauvaises configurations et les faiblesses. Chaque collaborateur peut donc jouer un rôle dans l’amélioration de la sécurité. Les retours sont toujours encouragés afin de créer une solide culture de la sécurité.
9. Choisir les testeurs d’intrusion et effectuer les tests
Les tests d’intrusion peuvent être réalisés en interne, par l’intermédiaire d’un prestataire, dans le cadre de programmes de chasse aux bugs ou par des organisations qui proposent des tests d’intrusion en tant que service.
Chaque méthode présente des avantages et des inconvénients. Si les tests réalisés en interne offrent un contrôle total, une équipe d’experts est nécessaire pour les exécuter. À l’inverse, l’externalisation des tests d’intrusion peut être coûteuse, selon le prestataire ou le programme, mais cette option permet également aux organisations d’accroître la diversité des talents et des ressources. En définitive, tout dépend des ressources de l’organisation, de l’importance de ses données et du niveau de confiance accordé aux contrôles de sécurité.
10. Établir des rapports, corriger, surveiller et recommencer
Un programme de tests d’intrusion ne prend pas fin lorsque les tests sont terminés. Chaque test doit révéler les vulnérabilités et recommander des correctifs et des mesures de remédiation. Corriger les vulnérabilités constitue l’objectif le plus direct des tests d’intrusion.
La création de rapports, la remédiation, la surveillance et les nouveaux tests prennent du temps et sont essentiels. Dans le cas contraire, vous vous contentez d’identifier les faiblesses sans les corriger ni vérifier que les correctifs et les mesures d’atténuation ont été appliqués. Cette étape est essentielle pour améliorer les courbes d’apprentissage et de performance de l’organisation à tous les niveaux.
Il est également essentiel de réviser et d’ajuster le programme après chaque test et après l’achèvement de toute la série de tests planifiée. En clair, l’étape 10 ne constitue pas la fin : elle est suivie d’un redémarrage et du retour à l’étape 1.
Découvrez les meilleurs logiciels et outils de gestion des correctifs.
Les équipes à impliquer dans le programme de tests d’intrusion
Aucun programme de tests d’intrusion ne sera efficace s’il se limite aux équipes de sécurité et aux services informatiques. La surface d’attaque numérique d’une organisation s’étend à tous les aspects de ses opérations.
Les conseils d’administration et les dirigeants doivent connaître les enjeux de sécurité pour prendre des décisions métier éclairées, les développeurs doivent tirer les leçons de leurs erreurs et même l’élément humain de la sécurité sera impliqué dans des attaques de phishing simulées lors des tests d’intrusion. Chacun doit donc jouer un rôle dans le programme, selon sa contribution.
Il est également important de comprendre que certains tests d’intrusion peuvent simuler des attaques sans jamais révéler à l’entreprise ce qu’ils vont attaquer ni quand. Ces attaques en aveugle tentent de se rapprocher le plus possible des scénarios réels afin de tester les performances et le temps de réponse des équipes de sécurité — une approche plus proche du red teaming et du blue teaming.
Les pirates lanceront également des attaques visant à voler les identifiants des collaborateurs, comme le feraient les cybercriminels. Si les collaborateurs sont informés de ces simulations, les résultats des tests ne seront pas réalistes.
Les ingénieurs et les équipes produit doivent être principalement impliqués dans les phases de création de rapports, de remédiation et de surveillance du programme. Comme les équipes de sécurité, ils tireront les leçons des simulations et amélioreront leur travail.
Les tests d’intrusion permettent aux dirigeants de mieux comprendre les risques, les conséquences et l’état de leur sécurité. Ils contribuent à créer une culture de la sécurité de haut en bas et une compréhension commune qui facilitent les opérations quotidiennes de cybersécurité.
En résumé : commencer un programme de tests d’intrusion
Même si vous choisissez d’externaliser votre programme de tests d’intrusion, vous devez tout de même prendre le temps d’en élaborer un. Il permettra à votre équipe de sécurité et aux responsables métier d’être mieux informés, et guidera également les discussions avec les prestataires et les fournisseurs de services.
Un programme de tests d’intrusion va au-delà de l’identification des faiblesses avant que les criminels ne les détectent et ne les exploitent contre vous. Il donne une vision des performances, de la sécurité, de la sensibilisation et de la culture de l’organisation, et peut vous aider à atteindre vos cibles et objectifs métier. Vous devez savoir ce qui est critique avant de pouvoir déterminer comment le protéger.
À lire ensuite : Qu’est-ce que la chasse aux cybermenaces ? Définition, techniques et étapes